Claude Security في النسخة التجريبية العامة: ما الذي تدّعيه “Scan to Fix” وما الذي لا تدّعيه

أصبح منتج الأمان من Anthropic الآن نسخة تجريبية عامة لـ Claude Enterprise، وعرضه المختصر في سطر واحد تسلسل لا صفة: من الفحص إلى الإصلاح، بانسيابية تامة. والآليات الكامنة خلف ذلك السطر مذكورة بوضوح في صفحة المنتج — يفحص Claude قاعدة الشيفرة لديك باستخدام Claude Mythos، ويتحقق من النتائج، ويقترح تصحيحات يمكنك مراجعتها والموافقة عليها. ثلاثة أفعال، واسم نموذج واحد، وحدّ للنطاق يسهل إغفاله عند القراءة السريعة: هذه نسخة تجريبية، وهي موجهة لعملاء Enterprise لا لأي شخص يصادف أن لديه مستودعًا.

لم يكن السؤال المثير للاهتمام قط هو ما إذا كان بإمكان نموذج لغوي العثور على ثغرة أمنية. فقد ظلت النماذج تفعل ذلك منذ فترة، وأحيانًا بجودة تكفي لإحراج البشر الذين كتبوا الشيفرة. السؤال المثير للاهتمام هو ما يحدث بين لحظة ظهور اكتشاف ولحظة إغلاقه، لأن هذه الفجوة هي حيث تعيش قوائم الأعمال الأمنية المتراكمة: طابور من المشكلات المحتملة، لا يرتبه أحد، ومسند إلى الجميع، ويُغلق بالصدفة. إجابة Anthropic هي خط أنابيب من أربع مراحل، وكل مرحلة تقدم ادعاءً يمكن فحصه بمفرده.

ماذا يعني “الإصدار التجريبي العام لـ Claude Enterprise”؟

عبارة التوافر صريحة بشكل غير معتاد، وتستحق الاقتباس بدلًا من إعادة الصياغة: متاحة في النسخة التجريبية العامة لـ Claude Enterprise. ويقع أسفلها زرّان — التواصل مع المبيعات، وقراءة البرنامج التعليمي. لا يمثل أي منهما نموذج تسجيل. وعمليًا، يعني ذلك أن المشتري شركة لديها بالفعل اتفاقية Enterprise وفريق أمني يتمتع بمكانة كافية لطلب أداة فحص جديدة، وليس مهندسًا فردًا يريد توجيه شيء ما نحو مشروع جانبي.

ثمة طريقة ثانية أخف للدخول. إن إضافة Claude Security لـ Claude Code في مرحلة البيتا. وهي قطعة برمجية مختلفة لها نموذج نشر مختلف — الفحص والتحقق والتطبيق داخل Claude Code مع إبقاء الشيفرة في بيئتك — وهي النسخة التي تهم فريقًا ليس عائقه الميزانية بل قاعدة تحدد أين يُسمح للشيفرة المصدرية بالذهاب.

لا تتوقف عملية المسح

السلوك الموثّق الأول هو الفحص الأولي العميق: يشغّله Claude مرة واحدة على قاعدة شيفرة، ثم يواصل الفحص مع تغيّر الشيفرة. إنها جملة صغيرة ذات تبعات تشغيلية كبيرة. الفحص لمرة واحدة صورة فوتوغرافية. وقواعد الشيفرة ليست صورًا فوتوغرافية؛ بل هي طقس متغيّر. إن نتيجة كانت دقيقة في يوم التدقيق ثم جرى إصلاحها جزئيًا عبر ثلاث عمليات دمج لاحقة أسوأ من عدم وجود نتيجة على الإطلاق، لأنها تستهلك انتباه الأشخاص الذين عليهم إعادة قراءتها.

يُعدّ الفحص المستمر أيضًا الجزء الأصعب في تزييفه من بين أجزاء المنتج. فهو يتطلب أن يفهم الماسح أي التغييرات مهمة، وهذه مهارة تختلف عن العثور على ثغرة في شجرة ثابتة. لا تصف الصفحة كيفية عمل هذه الأولوية، ولن تحاول هذه المقالة تخمينها.

المحور الوحيد الذي يكون فيه الادعاء محددًا

تزعم Anthropic أن Claude Security يتتبع تدفقات البيانات عبر الملفات والمستودعات للعثور على ثغرات قد لا تكتشفها الماسحات القائمة على مطابقة الأنماط. هذا هو الادعاء الأكثر قابلية للتحقق في وصف المنتج بأكمله، لأنه يحدد آلية بدلاً من نتيجة.

مطابقة الأنماط، كما يوحي الاسم، تبحث عن نمط معروف الخطورة: استدعاء دالة بوسيط ملوث، أو سلسلة نصية مُدمجة في استعلام، أو واجهة برمجية معروفة بعدم الأمان. إنها سريعة ورخيصة، ولهذا تشتهر الماسحات التقليدية بأمرين في آن واحد: التقاط الفئة نفسها من الأخطاء أينما ظهرت، وإغراق الفريق بنتائج تبيّن أنها غير قابلة للوصول. البديل هو تتبع قيمة من نقطة دخولها إلى النظام إلى موضع استخدامها، عبر الحدود بين الملفات والخدمات. هنا تختبئ الأخطاء الحقيقية، وهنا أيضًا يصبح التحليل مكلفًا، لأن الأداة يجب أن تحتفظ بسياق أكبر مما يمكن احتواؤه داخل دالة واحدة.

لاحظ التحفظ في الجملة، مع ذلك. قد لا يكتشف. هذه هي الكلمة الصحيحة التي تُستخدم عندما لا يملك المورّد أي معيار قياس يمكن الإشارة إليه، وهي أيضًا السبب في ضرورة اختبار هذا الادعاء على قاعدة الشيفرة الخاصة بك بدلًا من قبوله كخاصية من خصائص المنتج.

التحقق العدائي، ونموذج تهديد يمكنك تعديله

المرحلة الثانية هي التي تعالج مشكلة الإيجابيات الكاذبة التي تعرفها كل فرق أمنية. يمرّ كل اكتشاف بتحقّق خصومي قبل أن يصل إلى الفريق. ثمة ما يحاول دحض الاكتشاف قبل أن يراه إنسان: بأن يُظهر أن المدخل لا يمكنه فعليًا الوصول إلى المصبّ، أو أن المسار محميّ في المنبع، أو أن الكود المعنيّ ميت.

النصف الثاني من الجملة نفسها هو، بهدوء، أكثر قرارات التصميم إثارة للاهتمام في الصفحة. نموذج التهديد الذي يمكن لفريقك تعديله هو ما يحدد ما يستحق الإشارة إليه. عمليًا، يضع ذلك تعريف ما هو ذو صلة في يد العميل. الماسح الذي يقرر الخطورة بنفسه يكون دائمًا مخطئًا قليلًا، لأن الخطورة سياقية: نقطة نهاية غير مصادق عليها في أداة إدارة داخلية مشكلة مختلفة عن نقطة النهاية نفسها على الإنترنت العام، ولا يمكن لأي مورّد أن يعرف أيّهما ينظر إليه. السماح بتعديل نموذج التهديد هو اعتراف صادق بذلك.

وهو يُنشئ عملًا إضافيًا أيضًا. فنموذج التهديد الذي لا يصونه أحد يتحول إلى مُرشِّح يخفي الأشياء التي لم يفكر فيها أحد، وهذا هو عكس الغرض الذي وُجد الماسح من أجله. والفرق التي ستجني قيمة من هذا هي تلك التي تتعامل مع نموذج التهديد كوثيقة حيّة لها مالك، بالطريقة نفسها التي تتعامل بها مع أدلة التشغيل.

الباتش هو وحدة الإخراج

يتضمن كل اكتشاف رقعة مقترحة كي يراجعها الفريق ويوافق عليها، ويضع Claude علامة على الاكتشاف باعتباره مُصلَحًا بمجرد إطلاق الإصلاح. هناك ادعاءان داخل تلك الجملة ويستحقان الفصل بينهما.

الأمر الأول هو أن ناتج الفحص تغيير، لا تذكرة. هذا هو الفرق بين إخبار المهندس أن في شفرته مشكلة، وإخباره كيف تبدو الشفرة المصححة. إنه يضغط أقل جزء ممتع في العمل الأمني — فهم شفرة شخص آخر بما يكفي لإصلاحها دون إفساد ما تفعله — ويضغطه لصالح الشخص الذي يفهم الشفرة أقل من الجميع. وهذا هو الخطر أيضًا: رقعة تبدو صحيحة وتجتاز المراجعة لأن المراجع كان متعبًا هي خلل جديد بعلامة اختيار خضراء.

الادعاء الثاني يتعلق بالإغلاق. يعلّم Claude أن الملاحظة أصبحت مُصلَحة بمجرد شحن الإصلاح، لذا تُغلق الملاحظات بدلًا من أن تتراكم. إن تراكم الأعمال ليس فشلًا في الكشف، بل فشل في مسك السجلات: يجري الإبلاغ عن الثغرة نفسها سبع مرات عبر سبع عمليات فحص، وينمو الطابور أسرع مما يستطيع أي شخص تصفيته. إن تتبع الملاحظة وصولًا إلى الـcommit الذي يحلها هو الآلية التي تجعل الماسح المستمر محتملًا بدلًا من أن يكون مُحبِطًا للمعنويات.

تؤكد Anthropic صراحةً أن الإنسان يبقى ضمن حلقة القرار، إذ يتطلب كل تعديل مراجعةً وموافقة. وعلى من يطبّق هذا أن يعتبر تلك هي الجملة الأساسية الحاملة للمعنى، لا إخلاء المسؤولية الوارد في الأسفل.

إصداران، اتجاه واحد

لم يأتِ Claude Security بمعزل عن غيره. فقد أتاحت Anthropic منتج Code Review للاستخدام العام في 15 أكتوبر 2026، وجاء الفحص المستمر وتتبّع الإصلاحات في Claude Security في 21 أكتوبر 2026 في نسخة تجريبية عامة لـ Claude Enterprise. وعند قراءتهما معًا، فإن الاثنين يقولان شيئًا عن الاتجاه: فالمراجعة تنتقل من بوابة يمرّ عبرها التغيير في النهاية إلى عملية تسير جنبًا إلى جنب مع التغيير أثناء كتابته. والفترة بين هذين التاريخين قصيرة بما يكفي بحيث ينبغي تقييم المنتجين كقصة واحدة حول إلى أين يتجه عمل الأمن، لا كإصدارين غير مرتبطين.

ما لم يُنشَر، والرقم الذي سيحسم الأمر.

قائمة المجهول هنا أطول من قائمة الادعاءات، وهذا أمر طبيعي في نسخة تجريبية عامة وليس في فضيحة. مقدار ما تغطيه عملية الفحص من قاعدة الشيفرة غير منشور. ومدة الفحص غير منشورة. ومعدلات الإيجابيات الكاذبة غير منشورة. ومقاييس الكشف المرجعية غير منشورة. ولا يوجد تقييم مستقل. والتسعير لكل مقعد غير منشور، وكذلك قائمة اللغات المدعومة.

من بين تلك، يُعدّ معيار الكشف المفقود هو ما يغيّر قرار الشراء. وبدونه، فإن “يلتقط ما تفوته الماسحات القائمة على مطابقة الأنماط” ادعاء اتجاهي لا يمكن مقارنته بالماسح الموجود بالفعل في الميزانية. أما قائمة اللغات المدعومة فهي الثانية: فمستودع متعدد اللغات هو الحالة الطبيعية في شركة من أي حجم، والماسح الممتاز في ثلاث لغات والغائب في الخمس الأخرى هو ماسح ينتج صورة مضللة لسطح المخاطر.

لا شيء من هذا يعني أن المنتج لا يعمل. بل يعني أن التقييم يجب أن يقوم به المشتري، باستخدام كود المشتري الخاص، وأن العرض التجريبي لن يفي بالغرض.

كيف يمكن تقييمه على أي حال؟

إذا كان فريقك سيجرّب ذلك، فإن التجربة المفيدة ليست مستودعًا جديدًا يحوي ضعفًا مزروعًا عمدًا. بل مستودعًا له تاريخ بالفعل: خدمة وقعت لها حادثة العام الماضي، أو مكتبة فيها ثغرة معروفة استغرق إغلاقها أسبوعين، أو وحدة يخشاها الجميع قليلًا. وجّه الفحص نحو ذلك وقارن ما يجده بما دوّنه فريقك بالفعل. يمكن قياس الاستدعاء على المشكلات المعروفة حتى عندما لا يكون المورّد قد نشر معيارًا مرجعيًا، لأن الحقيقة المرجعية موجودة في متتبع الحوادث الخاص بك.

ثانيًا، راقِب نموذج التهديد. إذا كان أول ما يفعله فريقك هو تعطيل معظم الفئات لخفض قائمة الانتظار، فقد تعلّمت أن النموذج الافتراضي لا يطابق المخاطر التي يتحملها فريقك فعليًا، وينبغي أن تصلح النموذج لا الفلتر. ثالثًا، قِس الخطوة المهمة: كم يستغرق الأمر من ظهور اكتشاف إلى دمج رقعة. هذا الرقم ملكك، وهو قابل للمقارنة عبر الأدوات، وهو الرقم الذي يدّعي المنتج فعليًا أنه يحسّنه.

أين يقع جهاز التوجيه، وأين لا يقع

يجدر بيان هذا الحدّ الفاصل بوضوح. إن Claude Security تطبيق تابع لـ Anthropic. نحن لا نستضيفه ولا نبيعه، ولا يمكننا إخبارك بما عثر عليه أو لم يعثر عليه في مستودعك. يعمل الماسح على Claude Mythos، ولا ندّعي أننا نستضيف ذلك النموذج.

ما نقوم به هو تشغيل النماذج. نقطة وصول واحدة متوافقة مع OpenAI، ومفتاح واحد، وأكثر من 200 نموذج خلفها، وسعر قائمة المزوّد يُمرَّر كما هو دون إضافة أي هامش، وتحويل تلقائي بين المزوّدين عند تعثّر أحدهم. Claude Opus 5.5 موجود في ذلك الكتالوج بسعر 4.00 دولارات لكل مليون رمز إدخال و20.00 دولارًا لكل مليون رمز إخراج، مع سياق يبلغ مليون رمز وقراءات من الذاكرة المؤقتة بسعر 0.20 دولار لكل مليون. هذه حقيقة عن كتالوجنا، وليست ادعاءً بشأن الماسح الضوئي.

حيث يصبح ذلك ذا صلة هو الجزء من برنامج أمني لا يتمثل في ماسح ضوئي: الأداة الداخلية التي تلخّص ألف نتيجة في شيء يستطيع الإنسان فرزه، والوكيل الذي يصوغ المذكرة الإرشادية، وخطوة المراجعة التي يريد فريق ما بناؤها حول قواعده الخاصة. تلك استدعاءات نموذج عادية، والموجّه طريقة معقولة لتنفيذها دون ترميز بائع معيّن بشكل صلب. تهم لغة التوجيه DSL عندما تريد خطوة ما نموذجًا صغيرًا للكمية وتريد الخطوة التالية نموذجًا أكثر عناية للحكم؛ ويهم تجاوز الفشل التلقائي عندما يقع الاستدعاء داخل مسار تنفيذ يعمل في الثالثة صباحًا ولا يراقبه أحد.

ما الذي يطلب منك الإصدار التجريبي فعليًا أن تثق به

إذا أزلنا الإطار، فإن المنتج يضع ثلاثة رهانات. بأن نموذجًا يستدل على الكود يجد أشياء لا تجدها مطابقة الأنماط. وبأن تمريرة ثانية خصومية كافية لإبقاء الضجيج منخفضًا. وبأن الاكتشاف لا يكتمل إلا عندما تُشحن رقعة ويُغلق الطابور خلفها. الرهان الثالث هو الأقل بريقًا والأرجح أن يكون صحيحًا، لأنه بيان عن العملية لا عن الذكاء.

الرهان الأول هو الجدير بالاختبار. لقد نشرت Anthropic الآلية — تتبع تدفق البيانات عبر الملفات والمستودعات — ولم تنشر أي رقم يُظهر مدى نجاحها في العمل. وهذا ليس سببًا لرفض المنتج. بل هو سبب لتشغيله على مستودع تعرف تاريخه مسبقًا، وللحكم عليه بناءً على النتائج التي يمكنك التحقق منها لا تلك التي تبدو مبهرة في عرض توضيحي.